Ali Hayat, Axipron toimitusjohtaja ja perustaja – haastattelusarja

Ali Hayat on Axipron toimitusjohtaja ja perustaja. Hänellä on taustaa teollisuuden riskienhallinnasta ja ISO-auditoinneista sekä kokemusta kyberturvallisuuden ja vaatimustenmukaisuuden konsultoinnista. Uransa alkuvaiheessa hän työskenteli teollisuusympäristöissä, joissa turvallisuus, sääntelyvaatimukset ja operatiiviset riskit olivat keskeisiä kysymyksiä. Myöhemmin hän rakensi Axipron ilman ulkopuolista rahoitusta keskittyen auttamaan kasvavia yrityksiä ottamaan käyttöön käytännönläheisiä tietoturvakontrolleja, valmistautumaan auditointeihin ja hallitsemaan uusia tekoälyyn liittyviä riskejä.

Axipro on kyberturvallisuuteen ja vaatimustenmukaisuuteen erikoistunut konsulttiyritys, joka tukee organisaatioita muun muassa SOC 2-, ISO 27001- ja ISO 42001 -viitekehysten sekä tietosuojavaatimusten noudattamisessa. Sen työssä yhdistyvät konsultointi, vaatimustenmukaisuuden automatisointi, auditointeihin valmistautuminen ja tietoturvatestaus, ja siinä painotetaan jatkuvaa valvontaa ja ihmisen suorittamaa valvontaa. Tässä haastattelussa Hayat käsittelee tekoälypohjaisia vaatimustenmukaisuuden työnkulkuja, varjotekoälyä, autonomisiin agentteihin liittyviä riskejä, alueellisia eroja hallintokäytännöissä sekä sertifioinnin ja kyberturvallisuuden häiriönsietokyvyn välistä kuilua.

Urasi alkoi korkean riskin teollisuusympäristöissä, joissa työskentelit hankkeissa, joihin osallistuivat Saudi Aramco, ADNOC ja TotalEnergies ja joissa turvallisuus, riskienhallinta ja sääntelyn noudattaminen olivat ratkaisevan tärkeitä. Mikä sai sinut siirtymään teollisuuden turvallisuuden ja auditointien parista kyberturvallisuuden pariin, ja mikä lopulta motivoi sinua perustamaan Axipron?

Perustin Axipron, koska huomasin markkinoilla puutteen työskennellessäni laadunhallinnan parissa. Vuonna 2021 huomasin, että markkinoille tuli monia uusia kyberturvallisuusalustoja, jotka tarjosivat osittain automatisoituja SOC 2- ja ISO 27001 -vaatimustenmukaisuusalustoja.

Kävi selväksi, että vaikka nämä alustat kevensivät teknisten tiimien vaatimustenmukaisuuteen liittyvää työtaakkaa huomattavasti, niiden käyttöönotto ja ylläpito vaativat silti työtä. Kasvunsa kanssa jo valmiiksi kamppailevat startup-yritykset olivat valmiita maksamaan ihmisten johtaman tiimin palveluista, jotta vaatimustenmukaisuudesta huolehdittaisiin jatkuvasti. Näin Axipro sai alkunsa.

Sitten vuonna 2022 julkaistiin ensimmäiset tekoälyalustat. Se oli jälleen yksi ahaa-elämys. Vaikka monet alan ihmiset pelkäsivät käyvänsä tarpeettomiksi, ymmärsin nopeasti, että kyseessä oli valtava mahdollisuus. Tekoäly todennäköisesti kasvattaisi kyberhyökkäysten määrää räjähdysmäisesti, ja startup-yritykset tarvitsisivat osaavia ihmisiä ohjaamaan tietoturvaansa ja vaatimustenmukaisuustyötään vastauksena tähän kehitykseen.

Olemme nykyään Drata Elite -kumppani ja Vanta Preferred -kumppani, ja olemme auttaneet yli 300 yritystä saattamaan toimintansa johtavien kyberturvallisuus- ja tekoälystandardien mukaiseksi.

Rakensit Axipron alusta alkaen ilman ulkopuolista rahoitusta ja kasvatit sen kansainväliseksi konsulttiyritykseksi, joka palvelee satoja asiakkaita. Mitkä olivat suurimmat haasteet kyberturvallisuusyrityksen kasvattamisessa omarahoitteisesti, ja miten teknologia ja automaatio ovat auttaneet sinua laajentamaan toimintaa palvelun laadusta tinkimättä?

Ensimmäiset vuodet olivat erittäin haastavia. Kulutin säästöni loppuun vauvan ollessa tulossa, ja samaan aikaan näin ensimmäisten tekoälymallien mullistavan alaa. Ensimmäiset 2–3 vuotta ovat luultavasti vastuussa niistä harmaista hiuksista, joita minulla nyt on.

Kilpailin muutaman mahtitekijän kanssa, joilla oli vakiintunut maine, suuret toimistot ja huomattavat markkinointibudjetit. Minä toimin Bahrainissa, taustani oli laadunhallinnassa ja markkinointibudjettini oli 0.

Vastasin tilanteeseen valitsemalla vastavirtaan kulkevan tien: pidin toimintani kevyenä ja tehokkaana ja hinnoittelin palveluni suuria vakiintuneita toimijoita edullisemmin.

Tämä toi minulle paljon uusia asiakkaita, mutta katteemme jäivät pieniksi. Kassavirran hallinnasta tuli taiteenlaji, ja selvisimme hädin tuskin ensimmäisistä 2 vuodesta. Kaikki muuttui, kun solmimme ensimmäisen viisinumeroisen sopimuksen, joka kattoi useita viitekehyksiä. Se antoi meille hieman taloudellista liikkumavaraa, mahdollisti ensimmäisten kokoaikaisten työntekijöideni palkkaamisen ja sai minut pohtimaan markkinointia kumppanuuksien ja suosittelujen ulkopuolella.

Axipro keskittyy monimutkaisten vaatimustenmukaisuusviitekehysten yksinkertaistamiseen digitaalisen muutoksen ja automaation avulla. Miten tekoäly muuttaa perinteisiä vaatimustenmukaisuuden työnkulkuja, ja mitkä toiminnot tarjoavat mielestäsi parhaat mahdollisuudet tehostaa työtä tekoälyn avulla?

Tekoälystä on ollut vaatimustenmukaisuusalalle paljon hyötyä. Aiemmin ala nojasi suureen määrään toistuvaa työtä, kuten todisteiden keräämiseen ja niiden yhdistämiseen vaatimuksiin, tietoturvakyselyihin vastaamiseen ja käytäntöjen laatimiseen. Lähes kaikki nämä tehtävät on nyt automatisoitu. Tekoäly on mahdollistanut myös kyberturvallisuuteen ja vaatimustenmukaisuuteen liittyvien riskien jatkuvan seurannan ja tunnistamisen.

Tekoäly on nykyään mukana lähes kaikissa vaatimustenmukaisuusprosessin vaiheissa. Kun otamme uuden asiakkaan asiakkaaksemme, yrityksemme sisäinen tekoäly tekee automaattisen riskiarvioinnin yrityksen toimialan, koon ja sijainnin perusteella. Meillä on laaja tietokanta aiemmista toimeksiannoista, jonka avulla pystymme tuomaan esiin mahdolliset riskit ja varoitusmerkit automaattisesti. Tämä on luultavasti tekoälyn suurin lisäarvo.

Myös kyberhyökkääjät ovat hyötyneet tekoälystä, ja hyökkäysten määrä on kasvanut räjähdysmäisesti. Käynnissä on eräänlainen tekoälyn ja tekoälyn välinen kilpavarustelu: meidän kaltaisemme yritykset kehittävät automaattista uhkien tunnistamista, kun taas hakkerit automatisoivat hyökkäyksiä.

Tässä tarvitaan ihmisen harkintaa, ja se on toimintamme ytimessä: tekoälyn on hoidettava toistuvat tehtävät ja tehostettava toimintaa, jotta ihmiset voivat keskittyä uhkien arviointiin ja niihin vastaamiseen.

Monet organisaatiot pitävät kyberturvallisuuden vaatimustenmukaisuutta edelleen määräajoin toistuvana harjoituksena, jossa keskitytään auditointeihin valmistautumiseen. Miten tekoälypohjaiset työkalut ja jatkuvan valvonnan alustat, kuten Drata, muuttavat tätä toimintatapaa, ja mitä siirtyminen jatkuvaan vaatimustenmukaisuuden varmistamiseen merkitsee yrityksille?

Kun aloitin vaatimustenmukaisuuden parissa työskentelyn, kaikki pelkäsivät auditointikautta. Yritykset laiminlöivät valvontakäytäntöjään suurimman osan vuodesta ja käyttivät sitten viikkoja kuvakaappausten ja lokien keräämiseen ennen auditoinnin määräaikaa. Hyväksytty auditointi tarkoitti, että vaatimuksia noudatettiin sinä päivänä – eikä juuri muuta.

Drata ja vastaavat alustat muuttivat tilanteen. Ne yhdistyvät yrityksen pilvipalveluihin ja henkilöstöhallinnon työkaluihin ja tarkistavat valvontakäytännöt päivittäin. Jos joku poistaa monivaiheisen tunnistautumisen (MFA) käytöstä tai entisellä työntekijällä on yhä käyttöoikeudet, asia tulee heti esiin, ja tiimimme korjaa sen saman tien.

Yrityksissä vaatimustenmukaisuus ei enää ole vuosittainen projekti, vaan osa normaalia toimintaa. Auditoinnit ovat lyhyempiä ja edullisempia, ja myyntitiimit voivat näyttää yritysasiakkaille pyynnöstä yrityksen tietoturvan tason, mikä auttaa saamaan kaupat päätökseen nopeammin.

Tietosuoja ja kyberturvallisuus ovat vähitellen muuttumassa herkillä toimialoilla toimimisen edellytyksestä markkinointia tukevaksi lisäarvoksi.

Kun organisaatiot turvautuvat yhä enemmän tekoälyyn tietoturvadokumentaation laatimisessa, riskien arvioinnissa ja vaatimustenmukaisuuteen liittyvän näytön tarkastelussa, miten ne voivat varmistaa, että näiden järjestelmien tuottamat tulokset ovat täsmällisiä ja luotettavia? Missä auditointi- ja sertifiointiprosessin vaiheissa ihmisten asiantuntemus on edelleen välttämätöntä?

Tekoäly osaa erittäin hyvin kirjoittaa asiakirjoja, jotka kuulostavat oikeilta. Käytäntö voi näyttää täydelliseltä, vaikka siinä kuvailtaisiin prosesseja, joita yrityksellä ei ole.

Meillä tekoäly laatii luonnoksia ja nostaa esiin ongelmia, mutta tiimimme jäsen tarkistaa kaiken ennen kuin aineisto toimitetaan asiakkaalle tai auditoijalle. Tekoälyn tuottaman sisällön pitäisi myös aina viitata sen taustalla olevaan näyttöön, jotta voimme varmistaa tiedot.

Sisäisten ja ulkoisten auditointien kohdalla vedän selvän rajan. Auditoijat hyväksyvät tulokset omalla nimellään ja ammatillisella maineellaan. Tekoäly voi auttaa heitä käymään näytön läpi nopeammin, mutta päätöksen yrityksen sertifioinnista pitää jäädä ihmiselle. Jos kukaan ei ole vastuussa, sertifikaatti menettää arvonsa.

Axipro tukee organisaatioita niiden soveltaessa standardeja, kuten ISO 27001-, SOC 2- ja ISO 42001 -standardeja. ISO 42001 on tekoälyn hallintajärjestelmiä koskeva kansainvälinen standardi. Millaisia uusia haasteita yritykset kohtaavat pyrkiessään luomaan vastuullisen tekoälyn hallintamalleja, ja miten tekoälyyn liittyvien riskien hallinta eroaa perinteisestä tietoturvan vaatimustenmukaisuuden varmistamisesta?

Useimmat yritykset, joiden kanssa keskustelemme, eivät edes tiedä, kuinka paljon ne käyttävät tekoälyä. Tätä ilmiötä kutsutaan varjoälyksi.

Markkinointitiimi on ottanut käyttöön yhden työkalun, kehittäjät ovat liittäneet mallin tuotteeseen, ja joku talousosastolla kopioi laskentataulukoita chatbotille. Mikään tästä ei ole pahantahtoista: ihmiset yrittävät työskennellä nopeammin, ja tekoälytyökalut ovat edullisia ja nopeita. Tämä voi kuitenkin helposti johtaa yrityksen tietojen paljastumiseen.

Useimpien ISO 42001- ja tekoälyn vaatimustenmukaisuusprojektien ensimmäinen ja tärkein vaihe on kartoittaa kaikki käytössä oleva tekoäly. Käymme läpi kuluraportit, ohjelmistojen käyttöönotot ja verkkoliikennetiedot sekä keskustelemme jokaisen tiimin kanssa siitä, mitä se todella käyttää päivittäisessä työssään. Lopullinen luettelo on lähes aina odotettua pidempi.

Tekoälyn kieltäminen toimii harvoin, ja se on haitallista ja tehotonta. Haluamme, että asiakkaamme voivat hyödyntää tekoälymallien tuomaa tehokkuutta. Parempi tapa on tarjota henkilöstölle hyväksytyt, työn hoitamiseen sopivat työkalut, määritellä selkeästi, mitä tietoja niihin saa syöttää, ja tehdä uusien työkalujen pyytämisestä helppoa.

Tekoälyn hallinta nostaa esiin myös kysymyksiä, joita tietoturvan piirissä ei ole aiemmin tarvinnut käsitellä. ISO 27001 -standardissa tärkeintä on estää vääriä henkilöitä pääsemästä tietoihisi. ISO 42001 -standardin kohdalla on lisäksi tiedettävä, toimiiko tekoäly asianmukaisesti, pystytäänkö sen päätökset selittämään ja kuka on vastuussa, jos se tekee virheen.

Myös nämä riskit muuttuvat nopeammin. Palveluntarjoaja voi päivittää mallin yhdessä yössä ja muuttaa tuotteesi toimintaa ilman, että teet itse mitään.

Yrityksillä, joilla on jo ISO 27001 -sertifiointi, on etulyöntiasema. Molemmat standardit perustuvat samaan hallintajärjestelmän rakenteeseen, joten suuri osa pohjatyöstä on jo tehty.

Kun käyttöön tulee itsenäisesti toimivia tekoälyagentteja, jotka voivat käsitellä arkaluonteisia tietoja, käyttää yritysjärjestelmiä ja toteuttaa liiketoimintaprosesseja, millaisiin uusiin kyberturvallisuus- ja vaatimustenmukaisuusriskeihin organisaatioiden pitäisi varautua? Pystyvätkö nykyiset tietoturvakehykset vastaamaan näiden yhä itsenäisempien järjestelmien asettamiin haasteisiin?

Seuraan juuri nyt tarkimmin agentteja. Tavallinen ohjelmisto tekee täsmälleen sen, mitä sen käsketään tehdä. Agentti tekee omia päätöksiä, ja se voidaan huijata huijaamaan myös muita, kuten Hugging Face -tapauksessa nähtiin.

Yleisin havaitsemamme riski on kehoteruiskutus. Hyökkääjä voi piilottaa ohjeita sähköpostiin tai PDF-tiedostoon, ja kun agenttisi lukee sen, se noudattaa ohjeita sille antamillasi käyttöoikeuksilla.

Toinen riski on se, että yritykset antavat agenteille aivan liian laajat käyttöoikeudet, koska se on helpompaa. Usein työntekijät antavat tekoälyagenteille pääsyn omien sähköpostitiliensä kautta sen sijaan, että niille luotaisiin erilliset tilit. Tällöin on erittäin vaikea selvittää, tekikö muutoksen ihminen vai botti. Jos myös lokitiedot ovat puutteellisia, et ehkä edes tiedä, mitä agentti teki.

ISO 27001 ja SOC 2 kattavat edelleen perusasioita, kuten käyttöoikeuksien hallintaa ja lokitietojen keräämistä, ja ISO 42001 auttaa tekoälyyn liittyvissä kysymyksissä. Mitään näistä standardeista ei kuitenkaan ole laadittu autonomisia agentteja silmällä pitäen, ja uskon, että uusia ohjeita saadaan pian.

AIUC-1 on nousemassa johtavaksi AIUC-1-standardiksi, ja olemme juuri aloittaneet henkilöstömme kouluttamisen sen käyttöönottoon. Olemme keskustelleet siitä muutaman asiakkaan kanssa, mutta meillä ei ole vielä esiteltäviä tapaustutkimuksia. Sillä on vahvaa tukea suurilta kyberturvallisuusyrityksiltä, joten odotamme tämän viitekehyksen nousevan johtavaksi tekoälyagenttien standardiksi.

Olet työskennellyt Lähi-idässä, Euroopassa ja Yhdysvalloissa ja kohdannut erilaisia sääntely-ympäristöjä ja riskienhallinnan lähestymistapoja. Miten alueelliset erot tekoälyn hallinnassa ja tietosuojassa vaikuttavat siihen, miten yritykset ottavat tekoälyä käyttöön, ja millaisia haasteita syntyy, kun organisaatiot toimivat useilla lainkäyttöalueilla?

Toimin Bahrainista käsin ja työskentelen eurooppalaisten ja yhdysvaltalaisten asiakkaiden kanssa. Olen lakannut odottamasta, että tekoälysääntely yhtenäistyisi. Päinvastoin alueet näyttävät erkanevan toisistaan yhä enemmän.

Euroopassa sääntely perustuu lainsäädäntöön. EU:n tekoälysäädös luokittelee tekoälyjärjestelmät riskin mukaan ja määrittelee kunkin luokan velvoitteet, joten eurooppalaiset yritykset etenevät yleensä harkiten ja dokumentoivat kaiken. Yhdysvalloissa ei ole liittovaltion tekoälylakia, ja markkinat vastaavat suurelta osin sääntelystä. Ostajat pyytävät sopimuksissaan viitekehyksiä, kuten NISTin AI RMF:ää, ja vastuusäännökset täydentävät kokonaisuutta. Kiina valitsee kolmannen tien ja laatii uuden säännön aina, kun jokin teknologia synnyttää uuden riskin.

Persianlahden alue on mielestäni kiinnostavin. Saudi-Arabiassa ei esimerkiksi vielä ole yleistä tekoälylakia. Suurin osa sitovista säännöistä sisältyy tietosuojalainsäädäntöön ja julkisiin hankintoihin, sillä valtio on alueen suurin teknologian ostaja. Noudatettavat vaatimukset riippuvat suuresti siitä, kuka asiakkaasi on. Kun Saudi-Arabian sääntelyviranomainen SDAIA hankki itse ISO 42001 -sertifioinnin vuonna 2024, se kertoi markkinoille, mitä standardia se edellyttäisi tarjouskilpailuissa.

Vaikeinta on silloin, kun yritys toimii useammalla kuin yhdellä näistä alueista. Riadissa toimiva SaaS-yritys, joka myy palveluja Eurooppaan, voi täyttää EU:n tekniset vaatimukset mutta silti rikkoa Saudi-Arabian tietojen rekisteröintiä ja siirtoa koskevia sääntöjä. Kumpikaan osapuoli ei hyväksy toisen asiakirjoja.

Lähestymistapamme on rakentaa mukana kulkeva perusta, joka koostuu ISO 42001:stä ja ISO 27001:stä, ja lisätä sen päälle kunkin alueen vaatimukset. ISO 42001 ei yksinään takaa lain vaatimusten noudattamista missään, mutta se on lähimpänä yhteistä kieltä, jonka kaikki nämä alueet hyväksyvät.

Turvallisuussertifioinnin saavuttamisen ja aidon kyberturvallisuuden häiriönsietokyvyn ylläpitämisen välillä on usein huomattava kuilu. Miten organisaatiot voivat hyödyntää tekoälyä ja automaatiota päästäkseen pelkän vaatimusten rastittamisen sijaan kehittämään turvallisuuskäytäntöjä, jotka mukautuvat jatkuvasti uusiin uhkiin?

Olen nähnyt yrityksiä, joilla on aivan uusi SOC 2 -raportti mutta myös perustavanlaatuisia tietoturva-aukkoja, joita kukaan ei ollut huomannut. Niiden tavoitteena oli ollut läpäistä auditointi. Sertifikaatti osoittaa, että yritys täytti standardin vaatimukset tiettynä ajankohtana, mutta se ei kerro, pystyykö yritys torjumaan hyökkäyksen.

Tästä eteenpäin pääsemiseksi on kysyttävä, kestääkö kukin suojatoimi testauksen. Automaatio auttaa tässä paljon. Jatkuva valvonta havaitsee ongelmat niiden ollessa vielä pieniä, ja ajantasaiset uhkatiedot pitävät riskiarvioinnit linjassa hyökkääjien nykyisten toimintatapojen kanssa. Säännölliset tunkeutumistestit ja hyökkäyssimulaatiot osoittavat sitten, toimivatko suojatoimet käytännössä.

CREST-sertifioinnin hankkiminen tänä vuonna oli yksi osa tätä työtä. Halusimme testata asiakkaidemme tietoturvaa ja dokumentoida tulokset.

Kun katsotaan seuraavia kolmesta viiteen vuotta, miten uskot tekoälyn muuttavan kyberturvallisuuden ja vaatimustenmukaisuuden konsultointialaa? Uskotko, että tekoälyagentit hoitavat lopulta itsenäisesti suurimman osan rutiininomaisista vaatimustenmukaisuuteen liittyvistä tehtävistä, ja miten Axipro mielestäsi kehittyy näiden teknologioiden kypsyessä?

Uskon, että tekoälyagentit hoitavat suurimman osan vaatimustenmukaisuuden rutiinitöistä viiden vuoden kuluessa. Tällaisia tehtäviä ovat esimerkiksi todisteaineiston kerääminen, käytäntöjen päivittäminen ja turvallisuuskyselyihin vastaaminen. Yrityksillä, jotka laskuttavat näistä töistä tunteja ilman osoitettavaa asiantuntemusta, tulee olemaan vaikeaa.

En kuitenkaan usko, että agentit hoitavat vaatimustenmukaisuuden valvontaa itsenäisesti. Mitä enemmän työtä tekoäly ottaa hoitaakseen, sitä tärkeämmiksi jäljelle jäävät päätökset muuttuvat. Jonkun on edelleen hyväksyttävä auditointi ja käsiteltävä seuraukset, kun jokin menee pieleen. Kun myös hyökkääjät käyttävät tekoälyä, osaavien puolustajien kysyntä kasvaa edelleen.

Axiprolla uskon, että käytämme jatkossa vähemmän aikaa dokumentointiin ja enemmän asiakkaiden neuvontaan ja heidän tietoturvansa testaamiseen. Oma tekoälymme ottaa hoitaakseen yhä suuremman osan palveluiden toteutuksesta, ja tiimimme keskittyy päätöksiin, jotka edellyttävät ihmisen harkintaa. Vuonna 2022 monet ajattelivat, että tekoäly tekisi kaltaisistamme yrityksistä tarpeettomia. Toistaiseksi on käynyt päinvastoin: olemme kasvaneet kuukausittain yli 10 prosenttia, ja joskus meillä on ollut enemmän työtä kuin pystymme tekemään. Emme usko tilanteen rauhoittuvan.

Kiitos hienosta haastattelusta! Lukijoiden, jotka haluavat oppia lisää kyberturvallisuuden vaatimustenmukaisuudesta, tekoälyn hallinnasta ja jatkuvien tietoturvakäytäntöjen rakentamisesta, kannattaa tutustua Axiproon.